LGPD e IA: o que a PME precisa cuidar antes de colocar dados num modelo

Onde está a regulação hoje

O projeto de lei que cria regras específicas para IA no Brasil, o PL 2338/2023, foi aprovado pelo Senado e está na Câmara dos Deputados, em comissão especial. Em março de 2026, a Teletime informou que a votação seguia sem data, com impasse em pontos como direitos autorais, e que, se acontecesse neste ano, seria depois das eleições.

Enquanto isso, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o Mapa de Temas Prioritários para 2026 e 2027 (Resolução CD/ANPD nº 30/2025). Inteligência artificial e tecnologias emergentes aparecem como um dos quatro temas prioritários de fiscalização, ao lado dos direitos dos titulares, da proteção de crianças e adolescentes e do tratamento de dados pelo poder público.

1. 2018LGPD sancionadaLei 13.709 vale para qualquer tratamento de dado pessoal, inclusive por IA.
2. Dez. 2024PL 2338 passa no SenadoO marco legal da IA segue para a Câmara.
3. Dez. 2025ANPD define prioridadesIA e tecnologias emergentes entram entre os quatro temas de 2026 e 2027.
4. Mar. 2026Votação sem dataNa Câmara, impasse em direitos autorais; previsão de votar só depois das eleições.

O que a LGPD já exige

• Base legal: todo tratamento de dado pessoal precisa de uma das bases previstas no artigo 7º, como execução de contrato ou legítimo interesse. Mandar dados para uma IA é tratamento.
• Necessidade: usar só os dados indispensáveis para a finalidade. Se a tarefa é conferir valores de uma nota, o CPF do cliente provavelmente não precisa ir junto.
• Segurança: o artigo 46 pede medidas para proteger os dados de acessos indevidos, o que inclui saber onde a ferramenta guarda o que recebe.
• Revisão de decisões automatizadas: o artigo 20 garante ao titular o direito de pedir revisão de decisões tomadas só com base em tratamento automatizado que afetem seus interesses, como análise de crédito ou seleção de candidatos.

Checklist prático para usar IA com dados pessoais

1. Mapeie onde os dados entram na IA. Quais tarefas usam IA, com quais dados, em qual ferramenta.
2. Troque contas pessoais por planos empresariais. Funcionário colando planilha de clientes em conta gratuita é o risco mais comum e o mais fácil de corrigir.
3. Confira retenção e uso para treino. Planos corporativos e APIs costumam permitir que os dados não sejam usados para treinar modelos. Alguns fornecedores oferecem retenção zero, como a Anthropic nos modelos Claude Opus 5.5 e Sonnet 5.5.
4. Mande o mínimo. Remova ou substitua nomes, documentos e contatos quando a tarefa não precisa deles.
5. Mantenha uma pessoa na decisão. Quando o resultado afeta alguém, a IA sugere e uma pessoa decide.
6. Registre. Uma política curta de uso de IA, assinada pela equipe, e um registro das ferramentas aprovadas.

Na hora de contratar uma ferramenta

Antes de assinar uma ferramenta de IA que vai receber dados de clientes ou funcionários, vale pedir respostas por escrito a quatro perguntas:

1. Os dados enviados são usados para treinar modelos?
2. Por quanto tempo ficam guardados, e em que país?
3. Quem, do lado do fornecedor, pode acessá-los?
4. Como a empresa apaga os dados quando encerrar o contrato?

As respostas costumam estar nos termos de uso e nas políticas de privacidade, mas nem sempre de forma clara. Se o fornecedor não sabe responder, isso já é uma resposta.

Uso de IA pela equipe também conta

Com modelos cada vez mais capazes chegando aos planos gratuitos, o uso “por fora” cresce. Proibir costuma não funcionar. Funciona mais oferecer uma ferramenta aprovada, explicar o que pode e o que não pode entrar nela e revisar a regra de tempos em tempos.

Um bom começo é uma conversa de meia hora com a equipe: quem usa IA, para quê, com quais dados. As respostas mostram os riscos reais e, de quebra, as tarefas repetitivas que merecem uma automação de verdade, feita com os cuidados certos.

Este texto é informativo e não substitui orientação jurídica. Para desenhar processos com IA que já nasçam respeitando esses cuidados, converse pelo WhatsApp.